コードとしてのインフラストラクチャテンプレートを使用して有効化と構成を行う

[アーティクル]
08/08/2024

Defender for Storage をサブスクリプションレベルで有効にすることをお勧めします。これにより、サブスクリプションに現在含まれているすべてのストレージアカウントが保護されます。サブスクリプションレベルで Defender for Storage を有効にした後に作成されたストレージアカウントは、作成してから 24 時間後までに保護されます。

ヒント

いつでも、サブスクリプションレベルで構成されている設定とは異なるカスタム設定で特定のストレージアカウントを構成する (サブスクリプションレベルの設定をオーバーライドする) ことができます。

サブスクリプションで有効にする
ストレージアカウントで有効にする

Terraform テンプレート

Terraform を使用してサブスクリプションレベルで Microsoft Defender for Storage を有効にして構成するには、次のコードスニペットを使用できます。

resource "azurerm_security_center_subscription_pricing" "DefenderForStorage" {
  tier          = "Standard"
  resource_type = "StorageAccounts"
  subplan       = "DefenderForStorageV2"
 
  extension {
    name = "OnUploadMalwareScanning"
    additional_extension_properties = {
      CapGBPerMonthPerStorageAccount = "5000"
    }
  }
 
  extension {
    name = "SensitiveDataDiscovery"
  }
}

マルウェアスキャンの月次上限の変更

ストレージアカウントあたりのマルウェアスキャンの月次上限を変更するには、CapGBPerMonthPerStorageAccount パラメーターを希望の値に調整します。このパラメーターでは、ストレージアカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。無制限のスキャンを許可する場合は、値 -1 を割り当てます。既定の上限は 5,000 GB に設定されています。

機能の無効化

アップロード時のマルウェアスキャン機能または機密データ脅威検出機能を無効にする場合、Terraform コードからそれに対応する拡張機能ブロックを削除できます。

Defender for Storage プラン全体を無効にする

Defender for Storage プラン全体を無効にするには、tier プロパティの値を "Free" に設定し、subPlan および extension プロパティを削除します。

azurerm_security_center_subscription_pricing リソースの詳細については、azurerm_security_center_subscription_pricing ドキュメントを参照してください。さらに、Azure 向け Terraform プロバイダーの包括的詳細については、Terraform AzureRM プロバイダードキュメントを参照してください。

Bicep テンプレート

Bicep を使用して Microsoft Defender for Storage をサブスクリプションレベルで有効にして構成するには、ターゲットスコープがサブスクリプションに設定されていることを確認し、Bicep テンプレートに以下を追加します。

resource StorageAccounts 'Microsoft.Security/pricings@2023-01-01' = {
  name: 'StorageAccounts'
  properties: {
    pricingTier: 'Standard'
    subPlan: 'DefenderForStorageV2'
    extensions: [
      {
        name: 'OnUploadMalwareScanning'
        isEnabled: 'True'
        additionalExtensionProperties: {
          CapGBPerMonthPerStorageAccount: '5000'
        }
      }
      {
        name: 'SensitiveDataDiscovery'
        isEnabled: 'True'
      }
    ]
  }
}

マルウェアスキャンの月次上限の変更

機能の無効化

[アップロード時マルウェアスキャン] または [機密データの脅威検出] 機能をオフにするには、sensitiveDataDiscovery の isEnabled の値を False に変更します。

Defender for Storage プラン全体を無効にする

Defender for Storage プラン全体を無効にするには、pricingTier プロパティの値を Free に設定し、subPlan および extensions プロパティを削除します。

Microsoft.Security/pricings のドキュメントで、Bicep テンプレートの詳細についてご確認ください。

Azure Resource Manager テンプレート

Azure Resource Manager (ARM) テンプレートを使用して Microsoft Defender for Storage をサブスクリプションレベルで有効にして構成するには、ARM テンプレートの resources セクションに次の JSON スニペットを追加します。

{
    "type": "Microsoft.Security/pricings",
    "apiVersion": "2023-01-01",
    "name": "StorageAccounts",
    "properties": {
        "pricingTier": "Standard",
        "subPlan": "DefenderForStorageV2",
        "extensions": [
            {
                "name": "OnUploadMalwareScanning",
                "isEnabled": "True",
                "additionalExtensionProperties": {
                    "CapGBPerMonthPerStorageAccount": "5000"
                }
            },
            {
                "name": "SensitiveDataDiscovery",
                "isEnabled": "True"
            }
        ]
    }
}

マルウェアスキャンの月次上限の変更

ストレージアカウントにおけるマルウェアスキャンの月次上限を変更するには、CapGBPerMonthPerStorageAccount パラメーターを目的の値に調整します。このパラメーターでは、ストレージアカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。無制限のスキャンを許可する場合は、値 -1 を割り当てます。既定の上限は 5,000 GB に設定されています。

機能の無効化

Defender for Storage プラン全体を無効にする

Defender プラン全体を無効にするには、pricingTier プロパティの値を Free に設定し、subPlan および extension プロパティを削除します。

Microsoft.Security/pricings のドキュメントで、ARM テンプレートの詳細についてご確認ください。

Terraform テンプレート - ストレージアカウント

Terraform を使用してストレージアカウントレベルで Microsoft Defender for Storage を有効にして構成するには、AzAPI プロバイダーをインポートし、次のコードスニペットを使用します。

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "enable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = true
      malwareScanning = {
        onUpload = {
          isEnabled     = true
          capGBPerMonth = 5000
        }
      }
      sensitiveDataDiscovery = {
        isEnabled = true
      }
      overrideSubscriptionLevelSettings = true
    }
  })
}

Note

ここで使用されている azapi_resource_action は、Microsoft Defender for Storage の構成に固有のアクションです。 Terraform の一般的なリソース宣言とは異なり、機能の有効化や無効化など、リソースに対して特定のアクションを実行する目的で使用されます。

マルウェアスキャンの月次上限の変更

ストレージアカウントにおけるマルウェアスキャンの月次上限を変更するには、capGBPerMonth パラメーターを目的の値に調整します。このパラメーターでは、ストレージアカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。無制限のスキャンを許可する場合は、値 -1 を割り当てます。既定の上限は 5,000 GB に設定されています。

機能の無効化

[アップロード時マルウェアスキャン] または [機密データの脅威検出] 機能をオフにするには、malwareScanning または sensitiveDataDiscovery プロパティのセクションで isEnabled の値を False に変更します。

Defender for Storage プラン全体を無効にする

ストレージアカウントの Defender for Storage プラン全体を無効にするには、次のコードスニペットを使用できます。

resource "azurerm_storage_account" "example" { ... }

resource "azapi_resource_action" "disable_defender_for_Storage" {
  type        = "Microsoft.Security/defenderForStorageSettings@2022-12-01-preview"
  resource_id = "${azurerm_storage_account.example.id}/providers/Microsoft.Security/defenderForStorageSettings/current"
  method      = "PUT"

  body = jsonencode({
    properties = {
      isEnabled = false
      overrideSubscriptionLevelSettings = false
    }
  })
}

サブスクリプションレベルで Defender for Storage が有効になっているサブスクリプションで、overrideSubscriptionLevelSettings の値を True に変更し、Defender for Storage プランを無効にできます。一部の機能を有効のまま維持する場合は、それに応じてプロパティを変更できます。ストレージアカウントのセキュリティ設定をさらにカスタマイズし、コントロールを増やす方法については、Microsoft.Security/defenderForStorageSettings API ドキュメントを参照してください。さらに、Azure 向け Terraform プロバイダーの包括的詳細については、Terraform AzureRM プロバイダードキュメントを参照してください。

Bicep テンプレート - ストレージアカウント

Bicep を使って、ストレージアカウントレベルで Microsoft Defender for Storage を有効にして構成するには、Bicep テンプレートに以下を追加します。

resource storageAccount 'Microsoft.Storage/storageAccounts@2021-04-01' ...

resource defenderForStorageSettings 'Microsoft.Security/DefenderForStorageSettings@2022-12-01-preview' = {
  name: 'current'
  scope: storageAccount
  properties: {
    isEnabled: true
    malwareScanning: {
      onUpload: {
        isEnabled: true
        capGBPerMonth: 5000
      }
    }
    sensitiveDataDiscovery: {
      isEnabled: true
    }
    overrideSubscriptionLevelSettings: true
  }
}

マルウェアスキャンの月次上限の変更

ストレージアカウントのマルウェアスキャンの毎月のしきい値を変更するには、capGBPerMonth parameter を希望の値に調整します。このパラメーターでは、ストレージアカウントごとに毎月マルウェアをスキャンできる最大データの上限を設定します。無制限のスキャンを許可する場合は、値 -1 を割り当てます。既定の上限は 5,000 GB に設定されています。

機能の無効化

Defender for Storage プラン全体を無効にする

ストレージアカウントで Defender プラン全体を無効にするには、isEnabled プロパティの値を False に設定し、properties から malwareScanning および sensitiveDataDiscovery のセクションを削除します。

Microsoft.Security/DefenderForStorageSettings API ドキュメントについて詳細をご確認ください。

ヒント

スキャン結果を以下に送信するようマルウェアスキャンを構成できます。
Event Grid カスタムトピック - 毎回のスキャン結果に基づいたほぼリアルタイムの自動応答を実現します。スキャンイベントを Event Grid カスタムトピックに送信するようマルウェアスキャンを構成する方法について詳細をご確認ください。
Log Analytics ワークスペース - コンプライアンスと監査のため、一元化されたログリポジトリにすべてのスキャン結果を格納します。スキャン結果を Log Analytics ワークスペースに送信するようマルウェアスキャンを構成する方法について詳細をご確認ください。

マルウェアスキャン結果の応答を設定する方法について詳細をご確認ください。

ARM テンプレート - ストレージアカウント

ARM テンプレートを使用して Microsoft Defender for Storage をストレージアカウントレベルで有効にして構成するには、ARM テンプレートの resources セクションに次の JSON スニペットを追加します。

{
    "type": "Microsoft.Security/DefenderForStorageSettings",
    "apiVersion": "2022-12-01-preview",
    "name": "current",
    "properties": {
        "isEnabled": true,
        "malwareScanning": {
            "onUpload": {
                "isEnabled": true,
                "capGBPerMonth": 5000
            }
        },
        "sensitiveDataDiscovery": {
            "isEnabled": true
        },
        "overrideSubscriptionLevelSettings": true
    },
    "scope": "[resourceId('Microsoft.Storage/storageAccounts', parameters('StorageAccountName'))]"
}

マルウェアスキャンの月次上限の変更

機能の無効化

Defender for Storage プラン全体を無効にする

次のステップ

Microsoft.Security/DefenderForStorageSettings API ドキュメントの詳細についてご確認ください。

次の方法で共有

コードとしてのインフラストラクチャテンプレートを使用して有効化と構成を行う

Terraform テンプレート

Bicep テンプレート

Azure Resource Manager テンプレート

Terraform テンプレート - ストレージアカウント

Bicep テンプレート - ストレージアカウント

ARM テンプレート - ストレージアカウント

次のステップ

フィードバック

その他のリソース

次の方法で共有

コードとしてのインフラストラクチャ テンプレートを使用して有効化と構成を行う

Terraform テンプレート

Bicep テンプレート

Azure Resource Manager テンプレート

次のステップ

フィードバック

その他のリソース

コードとしてのインフラストラクチャテンプレートを使用して有効化と構成を行う